연구 결과, ANZ 기업 34%가 여전히 랜섬웨어 몸값 지불

ANZ 조직의 3분의 1은 여전히 지불을 선택한다

Commvault의 새로운 연구는 많은 보안 전문가들이 오랫동안 의심해 온 점을 확인해 주었다. 랜섬웨어 몸값 지불이 신뢰할 수 있는 해결책과는 거리가 멀다는 것이다. 이 회사의 State of Data Resilience ANZ 2026 보고서에 따르면, 랜섬웨어 공격을 경험한 호주와 뉴질랜드의 조직 중 34%가 데이터 반환이나 시스템 정상 복구에 대한 실제 보장 없이도 결국 몸값을 지불한 것으로 나타났다.

이번 발견은 랜섬웨어가 이 지역 기업들에게 드문 위기 사건이라기보다는 일상적인 운영 현실이 되어가는 시점에 나왔다. 하지만 지불 결정은 여전히 많은 경우, 사전에 수립된 차분한 대응 전략의 일환이 아니라 실제 사고가 진행 중인 극도의 압박 속에서 내려지고 있다.

지불이 실제 문제를 거의 해결하지 못하는 이유

Commvault 조사 결과에서 가장 중요한 세부 사항은 조직이 지불한다는 사실이 아니라, 지불한 뒤 무슨 일이 일어나는가이다. 몸값을 건넨다고 해서 도난당했거나 암호화된 데이터가 온전하게 돌아온다거나, 공격자가 시스템을 잠그기 전에 빼낸 복사본을 삭제한다는 의미가 자동으로 성립하지는 않는다. 이 차이는 개인정보 보호 관점에서 매우 중요하다. 오늘날 많은 랜섬웨어 사고에는 암호화뿐 아니라 데이터 탈취도 포함된다. 즉, 고객 기록, 직원 정보, 금융 정보가 몸값 대화가 시작되기도 전에 이미 조직 네트워크 밖으로 유출되었을 수 있다는 뜻이다.

같은 지역을 대상으로 한 관련 설문조사는 이 점을 분명히 보여준다. 그 연구에 따르면 몸값 지불의 36%가 데이터 복구에 실패하며, 지불한 조직의 3분의 1 이상이 결국 시스템이나 파일이 제대로 작동하지 않는 상태에 놓였다. 다시 말해, 지불은 결과가 보장된 거래가 아니다. 이는 이행해야 할 법적·평판상 의무가 전혀 없는 공격자를 상대로 한 도박이다.

건강 기록, 금융 정보, 고객 신원 정보 등 민감한 개인 데이터를 보유한 조직에는 이것이 복합적인 개인정보 보호 위험을 만든다. 지불이 성공하더라도 이미 발생한 노출을 되돌리지 못한다. 암호화 전에 공격자가 복사한 데이터는 몸값 지불 여부와 관계없이 여전히 유출되거나 판매되거나 추가 갈취에 사용될 수 있다. Commvault의 연구는 너무 많은 ANZ 조직이 몸값 지불을 복구 전략으로 취급하고 있지만, 실제로는 피해가 이미 발생한 뒤에 거는 베팅에 더 가깝다는 점을 시사한다.

위기 속에서 결정해야 한다는 압박

이런 패턴이 지속되는 이유 중 하나는 이러한 결정이 내려지는 환경이다. 랜섬웨어 공격은 빠르게 확대되는 경향이 있으며, 몇 시간 안에 직원들을 핵심 시스템에서 잠그는 경우가 많다. 그런 압박 속에서는 운영이 멈추고 고객이나 파트너가 질문을 쏟아내는 상황에서 지불이 정상으로 돌아가는 가장 빠른 길처럼 느껴질 수 있다. Commvault의 보고서는 조직이 검증된 사전 계획의 일환으로서가 아니라 위기 한가운데서 고위험 랜섬웨어 결정을 내리는 것으로 설명한다.

위기 중심의 의사 결정이 바로 대응보다 준비가 훨씬 더 중요한 이유다. 검증된 백업 시스템, 명확한 사고 대응 계획, 공격자와 접촉할지 여부에 대해 사전에 합의된 기준을 갖춘 조직은 실시간으로 즉흥 대응하는 조직보다 훨씬 유리한 위치에 있다. 데이터는 많은 ANZ 기업이 아직 그 수준의 준비 상태에 도달하지 못했으며, 그 순간 사용할 수 있는 유일한 수단처럼 보이기 때문에 지불을 기본 선택으로 삼고 있음을 보여준다.

이것이 여러분에게 의미하는 바

여러분이 어떤 조직의 소비자, 직원 또는 고객이라면, 이 연구는 기업이 랜섬웨어 몸값을 지불했다고 해서 데이터가 안전하다는 뜻은 아니라는 점을 상기시켜 준다. 기업이 사고를 해결했다고 발표하더라도 공격 중에 노출된 정보는 여전히 유통되고 있을 수 있다. 사용하는 모든 서비스의 침해 통지를 주의 깊게 살피고, 조직이 몸값을 지불했거나 시스템을 복구했다고 밝히더라도 이를 심각하게 받아들이는 것이 좋다.

특히 고객이나 직원 데이터를 다루는 비즈니스에 종사한다면, 교훈은 더 직접적이다. 실제 공격이 진행되는 동안 처음으로 몸값 지불 결정을 내리게 하지 마라. 사전에 계획하고, 백업을 테스트하고, 명확한 대응 프로토콜을 갖춘 조직은 Commvault가 묘사하는 진퇴양난 시나리오에 직면할 가능성이 훨씬 낮다. 그 시나리오에서는 지불이 데이터 반환을 보장하지 못하고, 몸값 요구서가 도착할 때쯤에는 이미 개인정보 노출이 발생한 경우가 많다.

핵심 요점

• 몸값 지불은 데이터나 시스템 복구를 보장하지 않으며, 이미 발생한 데이터 탈취를 되돌리지도 않는다.
• 데이터 노출과 개인정보 보호 위험은 몸값 지불 여부와 무관하게 존재할 수 있다. 공격자는 암호화하기 전에 정보를 훔치는 경우가 많기 때문이다.
• 조직은 사고가 발생한 뒤가 아니라 발생하기 전에 랜섬웨어 대응 계획을 수립하고 백업을 테스트해야 한다.
• 개인은 기업이 사고를 해결했다고 보고하더라도 침해 통지에 계속 주의를 기울여야 한다.

랜섬웨어는 사라지지 않으며, Commvault의 연구는 ANZ 조직이 여전히 이러한 결정을 전략적이 아니라 사후적으로 내리고 있음을 분명히 보여준다. 공격이 발생하기 전에 복원력을 구축하는 것이 비즈니스 운영과 조직이 보호하도록 신뢰받는 개인 데이터를 모두 보호하는 가장 신뢰할 수 있는 방법으로 남아 있다.